CVE-2026-57827 — RSFiles! Subida de archivos sin autenticación → RCE

Aviso legal: solo uso autorizado. Esto es una prueba de concepto para investigación de seguridad y pruebas defensivas. Eres responsable de usarlo solo en sistemas que te pertenezcan o para los que tengas permiso explícito por escrito. El uso indebido contra terceros sin consentimiento es ilegal. Consulta SECURITY.md para conocer la postura de divulgación responsable.

Exploit + detector independiente para CVE-2026-57827 en el componente RSFiles! (com_rsfiles) para Joomla, versiones < 1.17.12 (corregido en 1.17.12, CVSS 9.8 / 10.0).

La subida en el frontend se divide en dos tareas:

1. rsfiles.checkupload — comprobación previa (permisos + lista blanca de extensiones)
2. rsfiles.upload — método de escritura (sin comprobación de permisos, sin verificación de tipo de archivo, sin CSRF)

La tarea de escritura se puede invocar directamente, omitiendo la comprobación previa, lo que permite a un atacante no autenticado subir un archivo .php ejecutable a una carpeta pública y ejecutarlo → RCE sin autenticación.

⚠️ Qué es este proyecto

• ✅ Una reimplementación limpia y legible de la cadena de ataque descrita para investigadores y defensores.
• ✅ Incluye un servidor simulado local para que puedas validar todo el flujo con cero riesgo para sistemas reales.
• ✅ Incluye un modo de solo detección que no realiza subida alguna.

Archivos

Todos los módulos deben estar en el mismo directorio (se importan entre sí).

Instalación

python3 -m pip install -r requirements.txt   # or just: pip install requests

Uso

1 · Solo detección (sin subida, seguro para reconocimiento)

python rsfiles_detect.py -t example.com

Host     : example.com
RSFiles! : YES v1.17.11
Protocol : https
Status   : VULNERABLE  (below 1.17.12)

Múltiples hosts:

python rsfiles_detect.py -f hosts.txt

2 · Exploit completo (objetivo único)

python cve_2026_57827.py -t example.com

En caso de éxito, la herramienta muestra la URL del shell con su token aleatorio y la salida del comando; esa salida es la prueba del RCE.

3 · Escaneo masivo + informes

python cve_2026_57827.py -f targets.txt --threads 30 -o shells.txt --csv report.csv

Pruebas locales (riesgo cero)

# Terminal 1 — start the mock (vulnerable)
python mock_server.py 8000 1.17.11

# Terminal 2 — scan it
python rsfiles_detect.py -t 127.0.0.1:8000
python cve_2026_57827.py -t 127.0.0.1:8000

1.17.11 / 1.17.10 = vulnerable · 1.17.12 = parcheado.

Notas de diseño

• Payload modular (payload.py): cada comportamiento (gate, upload, exec, delete, list) es una pequeña función; los nombres de las funciones de ejecución están codificados en base64 para que nombres sin codificar como system no aparezcan en los bytes del archivo.
• Nombres de archivo benignos aleatorios (p. ej., cache7f31.php) en lugar de los clásicos nombres de shell ocultos con punto inicial.
• Contadores incrementales (O(1)) en lugar de volver a escanear los resultados.
• Análisis de URL desde una única fuente mediante common.base_of().

Créditos / inspiración

Estilo basado en colecciones públicas de exploits de componentes Joomla (p. ej., incredibleindishell/joomla-vulnerabilities) y en los análisis detallados de RSJoomla/mysites.guru para este CVE.

Licencia

MIT — consulta LICENSE. Solo uso de investigación/defensa.